この章で学ぶこと

第5章では、ISMSという組織的な管理の枠組みを学びました。この章からは「情報セキュリティ対策」のうち、より実務・技術に近い領域に入ります。インシデントが起きたときにどう対応するか（脅威インテリジェンスとインシデント対応プロセス）、内部の人間による不正やアクセス権をどう管理するか（内部不正対策とアクセス制御モデル）、マルウェアやデータ漏えいをどう防ぐか（マルウェア検知とデータ保護・ログ管理）、異常をどう見つけるか（検知・監視とネットワーク境界防御）、そして安全な通信をどう実現するか（通信プロトコルのセキュリティと統合防御プラットフォーム）という順に学びます。109語とこの章もボリュームがありますが、次章「認証技術と暗号・PKI」とセットで、SCの技術対策の核を形成します。

脅威インテリジェンスとインシデント対応プロセス

第2章で触れた脅威インテリジェンスを実務で扱う際は、SNSやニュースなど誰でも入手できる情報を活用するOSINT(公開情報)の利用、侵害の痕跡を示す具体的な指標であるIoC(Indicator of Compromise)、脅威情報を機械可読な形式で記述する脅威情報構造化記述形式(STIX)、それを組織間で自動的にやり取りする検知指標情報自動交換手順(TAXII)、共有範囲を色で示すTLP(Traffic Light Protocol)が使われます。攻撃者を継続的に探す能動的な活動が脅威ハンティング(Threat Hunting)、悪用されているインフラを停止させるテイクダウンです。

インシデントが実際に発生した際の実務がインシデントハンドリングで、シラバスでは準備・検知/分析・封じ込め/根絶/復旧・事後対応という4段階のインシデント対応プロセスとして整理されています。多数のインシデント候補から優先度をつけるトリアージ、事前に定めておくインシデントレスポンス計画(IRP)、第4章で学んだCSIRTを実際に立ち上げ運用するためのCSIRTの構築・運用(CSIRTマテリアル)も実務の要です。

インシデント後の対応としては、個人情報保護法などに基づく法令に基づく報告及び本人への通知、監督官庁などへの関係機関への届出、被害の内容をどこまで公表するかという公表の判断及び広報対応、損害を金銭的に補償するサイバー保険、対応後に振り返る事後レビューがあります。事業継続の観点では、復旧手順が実際に機能するかを確かめるバックアップからの復旧手順の検証、どれだけの時間・データ損失まで許容するかを定める復旧目標(RTO・RPO)に基づく復旧設計、被災時にすぐ使える代替サイト(ホットサイト・コールドサイト)の準備も欠かせません。

扱う用語（精選・20語）

• OSINT(公開情報)の利用／IoC(Indicator of Compromise)／脅威情報構造化記述形式(STIX)／検知指標情報自動交換手順(TAXII)／TLP(Traffic Light Protocol)／脅威ハンティング(Threat Hunting)／テイクダウン
• インシデントハンドリング／インシデント対応プロセス／トリアージ／インシデントレスポンス計画(IRP)／CSIRTの構築・運用
• 法令に基づく報告及び本人への通知／関係機関への届出／公表の判断及び広報対応／サイバー保険／事後レビュー
• バックアップからの復旧手順の検証／復旧目標(RTO・RPO)に基づく復旧設計／代替サイト(ホットサイト・コールドサイト)

内部不正対策とアクセス制御モデル

外部からの攻撃だけでなく、内部の人間による不正も重大なリスクです。組織における内部不正を防ぐための組織における内部不正防止ガイドラインを土台に、標的型メール訓練やレッドチーム演習・机上演習といった情報セキュリティ訓練で組織全体の対応力を高めます。従業員の行動パターンから異常を検知するUEBA(User and Entity Behavior Analytics)、重要な役職に就く人物の身元を厳格に確認するセキュリティクリアランス、第5章で学んだ守秘義務を具体化する秘密保持契約・誓約書もあわせて運用します。

物理的な区画管理としては、重要度に応じてエリアを区分するセキュリティゾーニング、ICカードなどで管理する入退管理システム、1人分のカードで複数人が入退室する「共連れ」を防ぐアンチパスバックがあります。ノートPC・スマートフォンなどのモバイル機器のセキュリティを一元管理するMDM(Mobile Device Management)、電源・空調・給水といったサポートユーティリティの保守も物理的な運用管理策です。

アクセス制御の実装方式には複数のモデルがあります。管理者が一元的にルールを定める強制アクセス制御(MAC)、所有者が自由に権限を設定できる任意アクセス制御(DAC)、役職・役割に応じて権限を割り当てるロールベースアクセス制御(RBAC)、利用者や環境の属性に応じて動的に判断する属性ベースアクセス制御(ABAC)です。これらの実装はいずれも第5章で学んだ最小特権の原則に基づき、特に強い権限を持つアカウントを厳格に管理する特権アクセス管理(PAM)、OS自体の堅牢性を高めるセキュアOSもあわせて重要です。

扱う用語（精選・18語）

• 組織における内部不正防止ガイドライン／情報セキュリティ訓練／UEBA／セキュリティクリアランス／秘密保持契約・誓約書
• セキュリティゾーニング／入退管理システム／アンチパスバック／モバイル機器のセキュリティ／MDM／サポートユーティリティの保守
• 強制アクセス制御(MAC)／任意アクセス制御(DAC)／ロールベースアクセス制御(RBAC)／属性ベースアクセス制御(ABAC)／最小特権／特権アクセス管理(PAM)／セキュアOS

マルウェア検知とデータ保護・ログ管理

マルウェアを検知する手法には、プログラムの挙動から判定するビヘイビア法(振る舞い検知)、経験則に基づいて疑わしさを判定するヒューリスティック法があり、これらを組み合わせて未知マルウェア検出手法を実現します。プログラムを実際に動かして観察する動的解析、コードを実行せずに調べる静的解析も基本的な分析手法です。

バックアップは、ランサムウェアの標的にならないよう本番環境と切り離すバックアップ分離が重要で、3つのコピーを2種類の媒体に保存し1つは遠隔地に置く3-2-1ルール、一度書き込んだら変更できないWORM(Write Once Read Many)機能、それをクラウド上で実現するイミュータブルバックアップ、不正アクセスを検知するための「おとり」ファイルであるカナリアファイル、ランサムウェア特有の暗号化動作を検知する暗号化挙動検知があります。

日々の運用管理としては、新たな脆弱性情報を収集し自組織への影響を判断する脆弱性情報の収集と適用判断、修正パッチを計画的に適用するパッチ管理、自組織が保有する資産を継続的に把握する資産インベントリの継続的把握、外部から見える攻撃対象領域を可視化するASM／EASM(外部攻撃対象領域管理)、機密情報の外部流出を検知・防止するDLP(Data Loss Prevention)、危険なコンテンツを隔離環境で開くWeb分離(Webアイソレーション)、不要データの情報の削除及びデータマスキングの実装も重要です。

ログについては、何をどれだけの期間残すかというログ設計(取得範囲・保存期間・改ざん防止・時刻同期とタイムスタンプ)を定め、複数のログを突き合わせて分析するログの相関分析を行います。検知ルールには、既知のパターンと照合するシグネチャ型、通常と異なる挙動を検知するアノマリ型があり、正常なのに異常と誤判定する偽陽性(フォールスポジティブ)、逆に異常を見逃す偽陰性(フォールスネガティブ)という2種類の誤判定が、どちらの検知方式でも課題になります。

扱う用語（精選・24語）

• ビヘイビア法／ヒューリスティック法／未知マルウェア検出手法／動的解析／静的解析
• バックアップ分離／3-2-1ルール／WORM機能／イミュータブルバックアップ／カナリアファイル／暗号化挙動検知
• 脆弱性情報の収集と適用判断／パッチ管理／資産インベントリの継続的把握／ASM／EASM／DLP(Data Loss Prevention)／Web分離(Webアイソレーション)／情報の削除及びデータマスキングの実装
• ログ設計／ログの相関分析／シグネチャ型／アノマリ型／偽陽性(フォールスポジティブ)／偽陰性(フォールスネガティブ)

検知・監視とネットワーク境界防御

第1〜2章で学んだ攻撃を実際に検知するための統合的な仕組みが、ログを一元的に集約・分析するSIEM(Security Information and Event Management)、端末の異常を検知・対応するEDR(Endpoint Detection and Response)、ネットワーク上の異常を検知するNDR(Network Detection and Response)、複数のログ源を統合して検知範囲を広げるXDR(Extended Detection and Response)、検知後の対応を自動化するSOAR(Security Orchestration, Automation and Response)です。これらを24時間体制で運用するのが第4章で学んだSOCで、アラートの優先順位づけと誤検知の低減を行うSOCの運用、自社運用が難しい場合に外部委託するMSS(Managed Security Service)・MDR(Managed Detection and Response)もあわせて押さえておきましょう。

ネットワークの境界を守る考え方としては、内と外を明確に区切る従来型の境界防御に対し、社内外を問わずすべての通信を都度検証するゼロトラストの実装技術(マイクロセグメンテーション・ZTNA・継続的な検証)が主流になりつつあります。通信を制御するファイアウォール(パケットフィルタリング型・ステートフルインスペクション型・アプリケーションゲートウェイ型)、不正な通信を検知・遮断するIDS／IPS(NIDS・HIDS)、拠点間や リモートアクセスを暗号化するVPN(リバースプロキシ方式・ポートフォワーディング方式・L2フォワーディング方式)、感染端末を隔離する検疫ネットワーク、端末の健全性を確認してから接続を許可する端末健全性検証によるネットワークアクセス制御(NAC・TNC)、特定の機器だけを許可するMACアドレスフィルタリング、不正なDHCPサーバーを検知するDHCPスヌーピング、通信を中継しつつ保護するリバースプロキシがあります。大量アクセスへの対策としてはDDoS対策(CDN・スクラビングセンター・Anycast・レート制限)、自動プログラムによる不正アクセスを防ぐBot対策(CAPTCHA・レート制限)、通常時の通信パターンから異常を見つけるネットワークトラフィック分析、システムの弱点を能動的に確認するネットワーク脆弱性検査・ポートスキャンによる検査もあわせて実施します。

扱う用語（精選・23語）

• SIEM／EDR／NDR／XDR／SOAR／SOCの運用／MSS／MDR
• 境界防御／ゼロトラストの実装技術／ファイアウォール／IDS／IPS／VPN／検疫ネットワーク／NAC・TNC／MACアドレスフィルタリング／DHCPスヌーピング／リバースプロキシ
• DDoS対策／Bot対策／ネットワークトラフィック分析／ネットワーク脆弱性検査／ポートスキャンによる検査

通信プロトコルのセキュリティと統合防御プラットフォーム

安全な通信を実現するプロトコルとしては、Web通信を暗号化するTLS(TLS 1.2・TLS 1.3・暗号スイート、SSL及びTLS 1.0／1.1の廃止)、メール送信時に暗号化を開始するSTARTTLS・SMTP over TLS、拠点間通信を暗号化するIPsec(ESP・AH・IKE)、低遅延な次世代プロトコルQUIC、DNS問い合わせを暗号化するDoH・DoTがあります。有線LANの認証にはIEEE 802.1Xとその認証サーバーであるRADIUS、認証方式の枠組みであるEAP(Extensible Authentication Protocol)とその一種EAP-TLS、無線LANでは事前共有した鍵を使うPSK(Pre-Shared Key)、現行の暗号規格WPA3(Personal・Enterprise・Enhanced Open)が使われます。

メールの安全性を高める仕組みとしては、認証付きメール送信を行うSMTP-AUTH、迷惑メール対策としてISPが実施するOP25B、送信元のなりすましを防ぐ送信ドメイン認証(SPF・DKIM・DMARC)、メール自体を暗号化・署名するS/MIME(Secure MIME)、悪意ある添付ファイルを無害化する添付ファイルの無害化(サニタイズ)があります。

これら個別の対策を統合的に提供する製品・サービスとして、複数の防御機能を1台にまとめた統合脅威管理(UTM)、Webアプリケーションを守るWAF(Web Application Firewall)、クラウドサービスの利用を可視化・制御するCASB(Cloud Access Security Broker)、クラウドの設定不備を検知するCSPM(Cloud Security Posture Management)、クラウド上のワークロードを保護するCWPP(Cloud Workload Protection Platform)、これらを統合しゼロトラストの考え方で提供するSASE(Secure Access Service Edge)があります。

扱う用語（精選・24語）

• TLS／STARTTLS／SMTP over TLS／IPsec／QUIC／DoH／DoT
• IEEE 802.1X／RADIUS／EAP／EAP-TLS／PSK／WPA3
• SMTP-AUTH／OP25B／送信ドメイン認証(SPF・DKIM・DMARC)／S/MIME／添付ファイルの無害化
• 統合脅威管理(UTM)／WAF／CASB／CSPM／CWPP／SASE

AIで学ぶ

ここまでの用語は、ChatGPTやClaudeなどの生成AIに以下のプロンプトを投げかけると、比較表つきでさらに深く掘り下げて学習できます。コピーして使ってみましょう。

あなたは情報処理安全確保支援士（SC）試験の講師です。「インシデント対応・物理/人的セキュリティと検知・ネットワーク防御」の範囲について、以下の用語を初学者向けに**関連づけながら**説明してください（単体の丸暗記より、「検知」「防御」「対応」のどの役割を担う技術かを理解したほうが記憶に定着しやすいためです）。特にSIEM・EDR・NDR・XDR・SOARのような似た略語群は、守備範囲の違いが分かる**比較表**を作ってください。

【脅威インテリジェンスとインシデント対応】OSINT、IoC、STIX、TAXII、TLP、脅威ハンティング、インシデントハンドリング、インシデント対応プロセス、トリアージ、IRP、CSIRTの構築・運用、法令に基づく報告及び本人への通知、関係機関への届出、サイバー保険、復旧目標(RTO・RPO)、代替サイト
【内部不正対策とアクセス制御】組織における内部不正防止ガイドライン、UEBA、セキュリティクリアランス、セキュリティゾーニング、入退管理システム、アンチパスバック、MDM、強制アクセス制御(MAC)、任意アクセス制御(DAC)、ロールベースアクセス制御(RBAC)、属性ベースアクセス制御(ABAC)、特権アクセス管理(PAM)
【マルウェア検知とデータ保護】ビヘイビア法、ヒューリスティック法、動的解析、静的解析、バックアップ分離、3-2-1ルール、イミュータブルバックアップ、パッチ管理、DLP、ログの相関分析、シグネチャ型、アノマリ型、偽陽性、偽陰性
【検知・監視とネットワーク境界防御】SIEM、EDR、NDR、XDR、SOAR、境界防御、ゼロトラストの実装技術、ファイアウォール、IDS／IPS、VPN、検疫ネットワーク、NAC、DDoS対策
【通信プロトコルと統合防御】TLS、IPsec、802.1X、RADIUS、EAP、WPA3、送信ドメイン認証(SPF・DKIM・DMARC)、S/MIME、UTM、WAF、CASB、CSPM、CWPP、SASE

このプロンプトが「検知・防御・対応のどの役割か」という整理軸を指示しているのは、この章に略語（SIEM・EDR・XDR・CASB・SASEなど）が非常に多く、単純な暗記では混同しやすいためです。「何を」「どう守る・見つける」技術かという役割で整理すると、初見の略語にも対応しやすくなります。

章末チェック

最後に、この章で学んだ知識をアウトプットして定着させましょう。全問に答えたら「答え合わせ」を押してください。

この章のまとめ

この章では、脅威インテリジェンスとインシデント対応プロセス、内部不正対策とアクセス制御モデル、マルウェア検知とデータ保護・ログ管理、SIEM・EDRなどの検知技術とゼロトラストを含むネットワーク境界防御、そして安全な通信プロトコルと統合防御プラットフォームを学びました。ここで学んだ「検知・防御・対応」の技術は、次章で学ぶ暗号・認証技術と組み合わさって、実際のシステムを守る仕組みになります。

次章では、こうした対策の基盤となる認証技術と暗号・PKIを学びます。→ 第7章 認証技術と暗号・PKI